Blockieren Sie jede App in Office

Entdecken Sie, was tatsächlich installiert ist

Öffnen Sie die Endpoint Central-Konsole und beginnen Sie mit der Erkennung, nicht mit dem Blockieren: Der Agent auf jedem verwalteten PC scannt und listet die Anwendungen auf, die tatsächlich im Büro installiert sind, einschließlich Software, die niemand in der IT jemals genehmigt hat. Lesen Sie diese Liste, bevor Sie etwas blockieren. Erwarten Sie Überraschungen – ein persönliches VPN hier, ein alter Bildschirmrekorder dort, drei PDF-Tools, die den gleichen Job erledigen. Dieser Entdeckungsbericht ist auch später Ihr Beweis: Wenn jemand fragt, warum eine App blockiert wurde, zeigt er, dass die App auf Bürocomputern ausgeführt wurde, bevor es eine Richtlinie gab.

Schreiben Sie die Richtlinie vor dem ersten Block

Legen Sie die Regeln zunächst auf Papier fest. Schreiben Sie Kategorien, keine App-Namen: Spiele, Torrent- und Peer-to-Peer-Clients, persönliche VPNs, Fernzugriffstools, die niemand genehmigt hat, Krypto-Miner und alles, was keinen geschäftlichen Zweck hat. Kategorien überleben das neue Spiel im nächsten Monat; eine Namensliste nicht. Nennen Sie die Person oder Rolle, die Ausnahmen genehmigt, die Route, auf der das Personal nachfragt, und eine zugesagte Antwortzeit – ein Arbeitstag ist eine gute Zusage. Vorübergehende Bedürfnisse erhalten einen vorübergehenden, zeitgebundenen Zugang, niemals wird in Eile eine dauerhafte Lücke geöffnet.

Erstellen Sie die Blocklist als Anwendungsgruppe

Gehen Sie in der Konsole zu Application Control, dann zu Application Groups und wählen Sie Create Blocklist. Fügen Sie Anwendungen mit den von der Konsole angebotenen Filtern hinzu: Anbieter, Produktname, Verifizierte ausführbare Datei, Datei-Hash, Ordnerpfad und Store-Apps. Die blockierte App bleibt auf dem PC installiert – sie kann einfach nicht ausgeführt werden. Für eine einzelne Datei auf einigen PCs verfügt Endpoint Central auch über eine einfachere Option zum Blockieren ausführbarer Dateien unter Inventar, die nach Pfad oder Hash abgeglichen wird. Anwendungsgruppen sind der richtige Weg, wenn die Regel im gesamten Büro als Richtlinie gelten muss.

Wählen Sie Regeln, die eine Umbenennung überleben

Wie Sie eine App identifizieren, entscheidet darüber, ob die Sperre gilt. Eine Dateinamensregel ist die schwächste Regel: Sie liest nur die Bezeichnung und wird durch das Umbenennen von game.exe in report.exe vollständig außer Kraft gesetzt. Eine Ordnerpfadregel überlebt eine Umbenennung, nicht jedoch eine Verschiebung in einen anderen Ordner. Ein Datei-Hash ist ein Fingerabdruck des genauen Inhalts der Datei, sodass eine umbenannte oder verschobene Kopie immer noch übereinstimmt – aber jede Aktualisierung ändert den Hash, sodass Hash-Listen gewartet werden müssen. Hersteller- und verifiziert-ausführbare Regeln folgen der digitalen Signatur des Herausgebers: Sie überleben Umbenennungen, Verschiebungen und normale Aktualisierungen, was sie zum praktischen Standard macht. Um einen Hash für eine bekanntermaßen fehlerhafte Datei zu erhalten, berechnen Sie ihn auf einem beliebigen Windows-PC:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Ersetzen Sie den Beispielpfad durch den Pfad der echten Datei. Der Befehl gibt den SHA256-Hash aus, den Sie in eine Datei-Hash-Regel einfügen.

Bereitstellung für eine Pilotgruppe im Überwachungsmodus

Öffnen Sie unter „Bereitstellung“ die Bereitstellungsrichtlinie und fügen Sie die Sperrliste einer benutzerdefinierten Computergruppe hinzu. Beginnen Sie mit einer kleinen Pilotgruppe, z. B. Ihrer eigenen Abteilung, auch wenn das endgültige Ziel jeder Büro-PC ist. Führen Sie bei der Bereitstellung zwei Dinge aus. Legen Sie zunächst die benutzerdefinierte Benachrichtigung fest, die Benutzern angezeigt wird, wenn eine App blockiert wird: Benennen Sie die Richtlinie und sagen Sie, an wen sie sich wenden sollen. Zweitens: Aktivieren Sie die Option, mit der Benutzer Anwendungen anfordern können – schalten Sie sie jetzt ein, nicht nach der ersten Krise, damit ein blockierter Benutzer eine Anforderungsroute statt einer Sackgasse erhält. Stellen Sie die Richtlinie im Überwachungsmodus bereit: Es ist noch nichts blockiert, aber jeder Anwendungsstart wird aufgezeichnet.

Lösen Sie jede nicht verwaltete App vor der Durchsetzung

Führen Sie den Audit-Modus für mindestens einen vollständigen Arbeitszyklus aus – einen Monat, der das Monatsende einschließt, wenn die selten verwendeten Abschluss- und Berichtstools zum Einsatz kommen. Gehen Sie dann die Ansicht „Nicht verwaltete Apps“ durch und bewerten Sie jeden Eintrag: Fügen Sie ihn zur Zulassungsliste hinzu, fügen Sie ihn zur Sperrliste hinzu oder verschieben Sie ihn in eine Anwendungsgruppe. Fragen Sie bei einer wirklich unbekannten Datei auf einem PC den Benutzer, bevor Sie urteilen – die Hälfte der gruseligen Namen sind langweilige Tools mit schlechtem Branding. Das Ziel vor der Durchsetzung ist eine kurze, verständliche, nicht verwaltete Liste, sodass der strikte Modus keine Überraschungen birgt.

Wechseln Sie in den strengen Modus – und führen Sie die Ausnahmetür ordnungsgemäß aus

Schalten Sie die Pilotgruppe zunächst in den strengen Modus, führen Sie sie eine Woche lang durch und führen Sie sie erst dann Gruppe für Gruppe aus. Im strengen Modus ist die Blockierung real: Ein Filter überprüft jedes Programm in dem Moment, in dem es zu starten versucht, sodass die Regel auch für Apps gilt, die lange vor der Richtlinie installiert wurden, und für tragbare Kopien, die überhaupt nicht installiert wurden. Wenn sich herausstellt, dass eine blockierte App für die eigentliche Arbeit benötigt wird, genehmigen Sie den Just-in-Time-Zugriff für ein paar Stunden oder einen Tag – er läuft von selbst ab. Wenn dieselbe Abteilung weiterhin dieselbe App anfordert, verschieben Sie sie ordnungsgemäß auf die Zulassungsliste dieser Gruppe und behalten Sie die Entscheidung im Prüfprotokoll.